CVE-2026-117607
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 53 - wyżej niż 53% wszystkich znanych CVE
Streszczenie
Xerte Online Toolkits do wersji 3.15.5 zawiera podatność na zdalne wykonanie kodu, która pozwala uwierzytelnionym użytkownikom z uprawnieniami systemowymi na uruchomienie PHP poprzez import spreparowanego pakietu językowego. Atakujący mogą przesłać ZIP przez import_language.php zawierający plik .inc, a następnie zażądać go przez parametr language, aby wykonać kod na serwerze.
Ocena ryzyka
Uwierzytelniony atakujący z uprawnieniami systemowymi może wykonać dowolny kod na serwerze, przejmując kontrolę nad aplikacją i danymi. Ryzyko jest wysokie, ponieważ wymaga jedynie uprawnień systemowych, które mogą być nadane szerzej niż administrator.
Rekomendacja
Zaktualizuj Xerte Online Toolkits do wersji nowszej niż 3.15.5. Ogranicz uprawnienia systemowe do niezbędnego minimum i weryfikuj importowane pakiety językowe.
Inne podatności w Xerte Online Toolkits
Zobacz wszystkie- CVE-2026-34415Krytyczne
Podatność w Xerte Online Toolkits w wersjach 3.15 i wcześniejszych wynika z niekompletnej walidacji danych wejściowych w punkcie końcowym elFinder. Błąd w wyrażeniu regularnym nie blokuje rozszerzenia .php4, co pozwala nieuwierzytelnionym atakującym na ominięcie uwierzytelniania i ścieżek, przesłanie złośliwego kodu PHP i wykonanie dowolnych poleceń systemowych na serwerze.
- CVE-2026-41459Średnie
Podatność w Xerte Online Toolkits w wersjach 3.15 i wcześniejszych umożliwia nieuwierzytelnionym atakującym odczytanie pełnej ścieżki systemu plików po stronie serwera dla katalogu głównego aplikacji. Wystarczy wysłać żądanie GET do strony /setup, aby uzyskać wartość root_path wyświetlaną w odpowiedzi HTML.
- CVE-2026-34414Wysokie
Podatność typu path traversal w Xerte Online Toolkits w wersjach 3.15 i wcześniejszych pozwala atakującemu na przenoszenie plików z katalogów projektu do dowolnych lokalizacji w systemie plików poprzez niesanitizowany parametr 'name' w komendzie rename endpointu elFinder. Może to prowadzić do nadpisania plików aplikacji, trwałego cross-site scripting (XSS) lub w połączeniu z innymi podatnościami do zdalnego wykonania kodu bez uwierzytelnienia.
- CVE-2026-34413Wysokie
Xerte Online Toolkits w wersjach 3.15 i wcześniejszych zawiera brak uwierzytelniania w punkcie końcowym elFinder connector. HTTP przekierowanie dla nieuwierzytelnionych wywołań nie wywołuje exit() ani die(), co pozwala na kontynuację przetwarzania żądania po stronie serwera.
Oryginalny opis (angielski, źródło NVD)
Xerte Online Toolkits through 3.15.5 contains a remote code execution vulnerability that allows authenticated users with system permission to run PHP by importing a crafted language pack. Attackers can upload a ZIP via import_language.php containing a .inc file, then request it through the language parameter to execute code on the server.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS